CoSnitch (CVE-2026-24301): رابط واحد، ومُحفّز واحد، وذاكرة نجت من إعادة التسجيل

أصلحت Microsoft في 18 أغسطس 2026 سلسلة عيوب من ثلاثة أجزاء في Copilot Personal مكّنت رابطًا واحدًا مُصممًا من تنفيذ مطالبة المهاجم النصية داخل جلسة موثّقة للضحية، ثم من دفع ما وجده إلى الخارج عبر وصول Copilot الشبكي الخاص. وقد أطلقت Varonis Threat Labs، التي أبلغت Microsoft عن المشكلات في ديسمبر 2025 ونشرت تحليلها في اليوم الذي صدر فيه الإصلاح، على البحث اسم CoSnitch. وتتتبعه Microsoft بوصفه CVE-2026-24301، «Microsoft Copilot Information Disclosure Vulnerability»، المصنّف ضمن CWE-77 كثغرة حقن أوامر تتيح لمهاجم غير مصرح له كشف معلومات عبر الشبكة. ووصلت السلسلة إلى نصوص رسائل Gmail وOutlook، وإدخالات Google Calendar، وأسماء ملفات Google Drive، وسجل محادثات Copilot وذاكرة Copilot — وكلها بيانات كان المستخدم قد أذن بالفعل لـCopilot بقراءتها. وكتبت مرحلة ثالثة تعليمات في ذاكرة Copilot الدائمة التي، وفقًا لـVaronis، نجت من تغيير كلمات المرور وإبطال الجلسات وإعادة تسجيل الأجهزة. ولا يسجّل Varonis ولا مدخل Microsoft نفسه أي استغلال فعلي في البرية.يوجد السجل الكامل، مع درجة الثقة والمصادر المستشهد بها، في Orca AI Incident Archive، إلى جانب الإدخالات المجاورة في المجموعة.

كيف تحوّل رابط واحد إلى استعلام على مستوى الجلسة

كان المُحرِّض عبارة عن سلسلة استعلام. يقبل Copilot Personal معامل q الذي يملأ مربع الدردشة مسبقًا بنصٍّ يوفّره رابط، تاركًا للمستخدم مهمة الضغط على Enter — وهي ميزة موجودة كي يتسنى لإشارة مرجعية أو لصفحة خارجية أن تسلّم المساعد طلبًا لمراجعته. وقد اكتشف Varonis معاملًا ثانيًا غير موثَّق، هو autorun=1، يزيل خطوة المراجعة. فمجرّد تحميل صفحة على شكل copilot.microsoft.com/?q= يتبعها طلب المهاجم ثم autorun=1 كان ينفّذ ذلك الطلب عند تحميل الصفحة، ويُفيد الباحثون بأن التنفيذ يكتمل حتى لو أُغلقت علامة التبويب فورًا بعد ذلك. ويُنفَّذ الطلب في سياق جلسة الضحية وموصلاتها وذاكرتها، ولهذا استطاعت السلسلة الوصول إلى بيانات لم يمتلك المهاجم بيانات اعتماد لها قط.

المرحلة الثانية هي تسريب البيانات. استعلم الموجّه المحقن من التطبيقات المتصلة، ودمج النتائج اختياريًا، ثم رمّزها بـ Base64 إلى سلسلة آمنة لعناوين URL، وأمر Copilot بجلب عنوان يتحكم فيه المهاجم. وقد نفّذت قدرة Copilot نفسها على جلب عناوين URL والتلخيص هذا الطلب، فبدت حركة المرور الصادرة أشبه بتصفح روتيني. استخدمت عيّنة Varonis مضيف webhook من Pipedream كنقطة تجميع، مع وضع الحمولة في مسار URL. وفئات البيانات التي يسردها الباحثون محددة: أجسام الرسائل الكاملة، وسطور الموضوع، والبيانات الوصفية للمرسل والمستلم من البريد، بما في ذلك كلمات المرور النصية الصريحة، وكلمات مرور الأنظمة الداخلية، وروابط إعادة التعيين؛ وعناوين التقويم والحاضرين والأوقات والمواقع؛ وأسماء ملفات Drive وملخصات البيانات الوصفية؛ وسجل المحادثات السابق؛ والتعليمات المحفوظة في ذاكرة Copilot. ويشير Varonis إلى أن ترميز Base64 يجعل أيضًا الطلب الصادر أصعب على المرشحات التي تبحث عن أنماط حساسة.

المرحلة الثالثة هي التي تتجاوز عمر الجلسة. الصفحة التي يلخّصها Copilot قد تحمل تعليمات مخفية في نص أبيض بحجم بكسل واحد، أو في تعليقات HTML، أو في فقرات مخفية بواسطة CSS، أو في البيانات الوصفية، ويُبلّغ Varonis بأن Copilot تعامل مع تلك النصوص بوصفها توجيهات لا محتوى. وفي أحد العروض التوضيحية، ادّعت الذاكرة المحقونة أن إحدى ثغرات CVE غير مؤذية، بحيث يكتم Copilot التحذير لاحقًا؛ ويمكن استخدام الآلية نفسها لتصفية النتائج أو إحداث انحياز في الإجابات أو تفعيل إجراءات عند تحقّق شرط ما. ولا تاريخ انتهاء لمدخلات الذاكرة ولا تُعاد ضبطها عند تسجيل الخروج؛ فهي تقيم في مخزن على مستوى المستخدم لا في الجلسة. ويقول الباحثون إن السبيل الوحيد لمسح إحداها هو عبر إعدادات الذاكرة في Copilot، التي لا يعلم معظم المستخدمين بوجودها.

المُعامل الذي أسماه Copilot بنفسه

تسمّي Varonis طريقة الاكتشاف هذه «meta-hacking»: «هندسة اجتماعية لمحرك الاستدلال نفسه»، بحسب صياغة المدونة، أو «أنت لا تستغل النموذج، بل تتلاعب به ليتعاون». بدأ الباحثون بسؤال Copilot عن كيفية جعل مطالبة تعمل دون تفاعل المستخدم. فأجاب Copilot بأن قصد المستخدم مطلوب، وأن المطالبات لا تنطلق من تلقاء نفسها. غير أن كل رفض حمل تفاصيل تقنية حول كيفية معالجة المطالبات، وأعاد الباحثون صياغة السؤال التالي كسؤال متابعة عادي حول بنية URL، والروابط العميقة، والصفحات التي تُحمّل مع إدخال معبأ مسبقًا. ووفقًا للمدونة، أفشى Copilot بعد ذلك المعامل غير الموثق من تلقاء نفسه، في منتصف الرفض، إلى جانب سلوكه التاريخي والحمايات التي أُضيفت لتعطيله. أنشأ الباحثون URL كما هو موصوف، ونُفّذت المطالبة.

هذه الرواية عن المحادثة هي رواية Varonis وحدها. وتقول المدونة إن أسئلة الميتا-هاكينغ المحددة لا تُنقل حرفيًا، وإن بيان Microsoft العام حول الثغرة، الذي اقتبسته Dark Reading، لا يتناول التقنية على الإطلاق. وقال ليور أدار، الباحث الأول في Varonis الذي كتب التحليل، لـ Dark Reading إن Copilot «سلّمنا المفاتيح»، وإن عنصر الميتا-هاكينغ هو الجزء من البحث الذي يتوقع أن يظل مهمًا. وخلاصة المدونة نفسها أكثر صراحة: «لم يتم اختراق Copilot؛ بل جرى التلاعب به».

ما الذي أصلحته مايكروسوفت، وما تكشفه سجلات الإدخال لديها

نُشر مدخل دليل تحديثات الأمان من Microsoft الخاص بـ CVE-2026-24301 في 18 أغسطس 2026 ضمن إصدار 2026-Aug، وآخر تنقيح له في 25 أغسطس 2026. ويصنّف المشكلة بدرجة حرجة مع درجة أساسية CVSS 3.1 مقدارها 8.8 ودرجة زمنية مقدارها 7.7؛ والمتجه هو AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. ويصنّف الأرشيف هذا السجل على أنه عالي الخطورة، وهو النطاق الذي تقع فيه درجة أساسية مقدارها 8.8 وفق CVSS 3.1 — أما تصنيف الخطورة الذي تضعه Microsoft على المدخل نفسه فهو حرج. وهناك حقلان أهم من الرقم: تسجّل Microsoft أن المشكلة لم تُفصح عنها للعموم قبل التصحيح، ولم تُستغل.

لا يحمل المدخل أي تصحيح ليقوم أي شخص بتثبيته، وتقول الأسئلة الشائعة الخاصة بـ Microsoft ذلك صراحةً: «لقد تم التخفيف من هذه الثغرة بالكامل بالفعل من قبل Microsoft. لا يوجد أي إجراء يجب على مستخدمي هذه الخدمة اتخاذه. الغرض من CVE هذه هو توفير مزيد من الشفافية». ويقول البيان الذي قدمته Microsoft إلى Dark Reading في يوم النشر الشيء نفسه — «عملاؤنا محميون بالفعل ولا يحتاجون إلى اتخاذ أي إجراء» — ويضيف: «نحدّث باستمرار حواجز الحماية لدينا لتعزيز حماية لدينا ضد تقنيات مماثلة». وتُثني Varonis على تعاون Microsoft في الإصلاح ولا تجادل بشأن التوقيت.

طول النافذة هو ما ركّزت عليه معظم التغطية: أُبلِغ عنه في ديسمبر 2025، وتمت معالجته في 18 أغسطس 2026، وهو ما تقيسه المذكرة البحثية الصادرة عن Cloud Security Alliance في 20 أغسطس 2026 بنحو ثمانية أشهر. خلال تلك النافذة ظل الخلل كامنًا في منتج استهلاكي يصل إليه أي شخص عبر رابط في المتصفح.

ثابت، ومنسوب، وغير مُدّعى

• مُثبت: يوجد CVE بتاريخ 18 أغسطس 2026، ودرجته الأساسية 8.8، ومسجل لدى Microsoft على أنه لم يُفصح عنه قبل التصحيح ولم يُستغل.

• ما أكّده المتحدث باسم مايكروسوفت، دون تدقيق مستقل: انحصرت المشكلة في Copilot Personal، ولم يتأثر عملاء المؤسسات.

• منسوب إلى Varonis ومُتناقل عنه، لا مُعاد إنتاجه: آليات السلسلة — معامل التشغيل التلقائي، والتسريب عبر الويب هوك، وعرض تسميم الذاكرة. تصفها The Hacker News وDark Reading وCloud Security Alliance؛ ولم تنشر أيٌّ من تلك المنافذ إعادة إنتاج خاصة بها.

• منسوب إلى Varonis، مصدر واحد: محادثة الاختراق الميتا وما كشفه Copilot فيها. لم يُنشر أي نص للمحادثة.

• لم يزعم أحد وجود ضحايا أو حملات أو أي استخدام فعلي في البرية. وتقول Varonis إنها لم ترَ أي دليل على الاستغلال، وتسجّل Microsoft حالة الاستغلال على أنها No.

• غير معلن: ما إذا كان الإصلاح قد أزال إدخالات الذاكرة المكتوبة قبله. تشير Hacker News إلى أن الإفصاح لا يذكر ذلك.

منتج شخصي، بيانات المؤسسات

تحديد Microsoft للنطاق دقيق بقدر ما يغطيه: كان الخلل في المساعد الاستهلاكي، لا في Microsoft 365 Copilot. وحجة أدآر هي أن هذا الحدّ يوفر حماية أقل مما يبدو. وقال لـ Dark Reading: «الثغرات المحددة التي وجدناها موجودة في نسخة Personal، هذا صحيح. لكن الشخص الذي يستخدم Copilot Personal هو نفسه الشخص الذي يدخل مكتبك صباح الاثنين. فقد تكون لديه رسائل بريد مؤسسية معاد توجيهها إلى Gmail شخصي، وبيانات اعتماد مشتركة عبر حسابات شخصية، ومستندات عمل في Drive شخصي. لذا عندما يستخرج CoSnitch بيانات من صندوق بريد شخصي، فغالبًا ما تكون البيانات التي يسحبها بيانات مؤسسية. وكلمة مرور مسروقة من حساب شخصي تصبح موطئ قدم داخل المستأجر المؤسسي لشركتك». هذا تقييم يتعلق بمدى الأثر (blast radius) لا ادعاء بشأن نطاق الثغرة، ولم ترد Microsoft عليه.

ما قيل للمدافعين أن يفعلوه

لم يكن هناك تحديث للعميل، لأنه لم يكن هناك أي شيء على العميل يحتاج إلى تحديث. تركز إرشادات Varonis على التفويض لا على الترقيع: راجع التطبيقات المتصلة بمساعد، وافصل تلك التي لا حاجة لوجودها، وتعامل مع Copilot كشخص داخلي ذي امتيازات يمكنه الوصول إلى كل ما يستطيع الوصول إليه، وتعامل مع رابط غير مرغوب فيه يفتح مساعد ذكاء اصطناعي كسطح هجوم لا كوسيلة راحة. قال Adar لـ Dark Reading: "دقّق الموصلات، وقلّل الوصول إلى الحد الأدنى، وافترض أن حد الثقة بين المطالبات المشروعة والمحقونة سينكسر".

إن موقف مايكروسوفت المكتوب بشأن فئة تلويث الذاكرة الأوسع يسبق إصلاح CoSnitch. وتُفيد The Hacker News بأن منشورًا في مدونة مايكروسوفت الأمنية بتاريخ 22 يونيو 2026، يقتصر نطاقه على Microsoft 365 بدلًا من المنتج الاستهلاكي، يصف فحوصات التنقية وحقن المطالبات عند الكتابة إلى الذاكرة، وفحوصات Task Adherence على كل كتابة صريحة، وحقل تدقيق MemoryUpdated الظاهر في Defender Advanced Hunting وSentinel — وينسب حالات MSRC إلى Johann Rehberger وHåkon Måløy وGal Zror.

أين تقع السلسلة

يشير السجل إلى أن CoSnitch يمكن إقرانه بـ CVE-2026-24299، وهو المعرّف الذي خصصته Microsoft لبحث تسميم الذاكرة الذي قدّمه Johann Rehberger في DEF CON Singapore تحت اسم Copirate 365. وتتناول كتابة Rehberger المنشورة في 4 مايو 2026 عمليات الكتابة والحذف في الذاكرة التي يتم الوصول إليها عبر حقن المطالبات غير المباشر في Microsoft 365 Copilot وCopilot الاستهلاكي، وقناة تسريب عبر معاينة HTML تستغل تحميل الخطوط وصور الخلفية. ويحمل إدخال Microsoft الخاص بـ CVE-2026-24299 تاريخ 19 مارس 2026 درجة أساسية 5.3 وفق CVSS 3.1، مع تسجيل حالة الاستغلال على أنها «لا».

يعدّ تحالف الأمن السحابي CoSnitch رابع سلسلة تسريب خاصة بـ Copilot بنقرة واحدة أو بنقر صفري يُعلن عنها منذ يونيو 2025، بعد EchoLeak ‏(CVE-2025-32711) وReprompt وSearchLeak ‏(CVE-2026-42824). هذا العدد هو عدد التحالف، لا عدد الأرشيف، وهو أقوى حجة في السجل العام على أن هذه المسألة نمط متكرر وليست معاملًا سيئًا واحدًا: مساعد يتمتع بوصول دائم إلى البريد والملفات ومخزن ذاكرة، ويُوصَل إليه عبر رابط أُقنع شخص ما بفتحه.

إنّ الأجزاء من CoSnitch التي يستطيع القارئ التحقق منها دون امتلاك مستأجر Microsoft ضيّقة النطاق — ثغرة CVE، ودرجة تقييم، وتاريخ إصلاح، وحقلا حالة كلاهما يقول «لا». أمّا الأجزاء التي تجعلها علامة فارقة فهي تلك التي تستند حاليًا إلى رواية مختبر واحد عن محادثة مع روبوت دردشة: أن مساعدًا في بيئة الإنتاج ذكر محفّزه غير الموثّق من تلقاء نفسه عندما سُئل عن سبب استحالة الهجوم.